Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Classes\HopToDesk\shell\open\command] '' = '"<Полный путь к файлу>" "--connect" "%1"'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="HopToDesk" dir=in action=allow program="<Полный путь к файлу>" enable=yes
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\sciter.dll
- %APPDATA%\hoptodesk\log\<Имя файла>_rcurrent.log
- %APPDATA%\hoptodesk\config\hoptodesk.2056_threadid(11)_1741974867233000000
Перемещает следующие файлы
- %APPDATA%\hoptodesk\config\hoptodesk.2056_threadid(11)_1741974867233000000 в %APPDATA%\hoptodesk\config\hoptodesk.toml
Сетевая активность
Подключается к
- 'ap#.##ptodesk.com':443
- '10#.#74.231.214':3478
- '10#.#74.93.216':3478
- 'si#####.hoptodesk.com':443
TCP
Другие
- 'ap#.##ptodesk.com':443
- '10#.#74.231.214':3478
- '10#.#74.93.216':3478
UDP
- DNS ASK ap#.##ptodesk.com
- DNS ASK tu##.#optodesk.com
- DNS ASK si####.hoptodesk.com
- DNS ASK si#####.hoptodesk.com
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall show rule name= HopToDesk verbose
- '<Полный путь к файлу>' --fw (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="HopToDesk" dir=in action=allow program="<Полный путь к файлу>" enable=yes (со скрытым окном)
